Notat Skabelon: Regler for medarbejderes brug af it I dag er det en naturlig ting, at medarbejderen i en virksomhed har en pc til sin rådighed til at udføre sit arbejde. Pc en har typisk adgang til internettet og medarbejderen benytter såvel internet som e-mail i sit daglige arbejde. 28. juli 2009 Virksomheden er ansvarlig for korrekt og lovlig anvendelse af it-systemerne og skal til enhver tid kunne redegøre for den software, som er installeret såvel på serverne som på pc erne. Virksomheden pådrager sig et strafansvar, hvis der forefindes software, hvortil der ikke findes gyldig licens, eller hvis pc en på anden vis anvendes i strid med gældende lovgivning. Udgangspunktet er, at it-værktøjer stilles til rådighed for medarbejderen med henblik på at vedkommende kan udføre de arbejdsopgaver, som påhviler vedkommende. Holsteinsgade 63 2100 København Ø Telefon 3545 0000 Telefax 3545 0010 E-post itst@itst.dk Netsted www.itst.dk CVR-nr. 2676 9388 Eksempler Virksomhedens it-systemer skal anvendes på en sådan måde, at det ikke: Skader virksomhedens omdømme Påvirker tilgængeligheden til virksomhedens it-systemer Påvirker fortroligheden eller integriteten af virksomhedens informationer Er til gene for virksomhedens medarbejdere, samarbejdspartnere eller kunder IT-sikkerhedskontoret Kirsten Sanders Telefon 3545 0230 Telefax 3345 0010 E-post kisa@itst.dk Formål Formålet med reglerne er at sikre, at virksomhedens it-systemer anvendes på en måde, der sikrer tilgængelighed, integritet og fortrolighed af virksomhedens informationer. Formålet er endvidere at sikre, at it-systemerne anvendes med omtanke og til løsning af arbejdsopgaver for virksomheden.
Gyldighedsområde Nedenstående regler gælder for alle, der anvender virksomhedens it-systemer, inklusive mobilt udstyr og hjemme-pc er, hvad enten disse benyttes arbejdsmæssigt eller privat, og uanset hvor benyttelsen foregår. Overtrædelse Såfremt virksomheden konstaterer ikke-godkendte eller ulovlige installationer eller filer, vil medarbejderen blive orienteret herom, hvorefter de vil blive afinstalleret eller slettet. Ethvert misbrug af virksomhedens it-systemer eller overtrædelse af disse regler kan medføre ændring i ansættelsesforholdet, eller en advarsel og det kan i gentagelsestilfælde eller i særlig grove tilfælde medføre opsigelse og/eller bortvisning. Ejerskab til informationer Virksomheden ejer alle informationer, som lagres eller behandles i virksomhedens it-systemer, herunder på medarbejdernes it-udstyr, og forbeholder sig ret til inden for lovens grænser frit at anvende disse informationer. Adgangskode Det er ikke tilladt at nedskrive sin adgangskode. Koden skal skiftes med passende mellemrum (se gode råd om adgangskoder). Koden må ikke udleveres til andre (ej heller til it-afdelingen). Medarbejderen skal låse pc en, når denne forlades. Medarbejdere i det offentlige rum Medarbejdere skal være bevidst om, at andre kan se og høre, hvad de beskæftiger sig med, når de befinder sig i det offentlige rum, fx på vej til og fra arbejde, på tjenesterejser eller til møder i ind- og udland. Det betyder, at man som medarbejder ikke Taler i mobiltelefon om virksomheden og dens aktiviteter, når der er uvedkommende inden for hørevidde Benytter sine mobile enheder til at skrive breve, mails eller andet om virksomheden og dens aktiviteter, når der er uvedkommende inden for synsvidde, der har mulighed for at læse over skulderen Lader sine mobile enheder ude af syne, så uvedkommende kan stjæle disse eller informationer indeholdt i disse. Brug af pc Privat brug Medarbejderen kan i begrænset omfang benytte pc en til private formål, eksempelvis til korrespondance og informationssøgning, så længe dette ikke strider mod lovgivningen, disse regler og virksomhedens tarv, renommé og værdier. Installation af programmer Der må ikke installeres programmer på serverne. Der må ikke installeres programmer på medarbejderens it-udstyr, medmindre der foreligger udtrykkelig tilladelse fra it-afdelingen, eller programmet er tilgængeligt på virksomhedens intranet. 2
Eksempler Materiale, der kan stride mod virksomhedens tarv, renommé og værdier: Pornografisk eller erotisk materiale Nedladende bemærkninger om andre personers køn, race, religion, seksuelle interesser m.v. Trusler om vold eller terrorisme Ulovlig gambling Lovstridigt materiale eller materiale, Brug af hjemme-pc Ud over de ovenstående regler gælder følgende: Hjemme-pc en er virksomhedens ejendom og må kun benyttes af virksomhedens medarbejdere. Brug af trådløst netværk Medarbejderes it-udstyr må (ikke) kobles op til virksomheden via trådløse enheder. (medmindre enheden som minimum opfylder følgende specifikationer: Understøtter WEP-kryptering Hidden SSID Mulighed for MAC-adressefiltrering.) Brug af andet it-udstyr Mobiltelefon, PDA, andet udstyr Private mobiltelefoner må ikke kobles på virksomhedens it-udstyr. Mobiltelefon, der er stillet til rådighed af virksomheden, må kun anvendes til tjenstligt formål. Mobiltelefoner må ikke benyttes til overtakserede tjenester, MMS, donering af gaver til indsamlinger, m.v. I forbindelse med ophold i udlandet skal medarbejdere så vidt muligt benytte call-back eller lignende. Mobiltelefoner skal beskyttes med adgangskode. Mobiltelefoner må ikke benyttes til synkronisering med privat kalender. Lagring af data Alle virksomhedens data skal lagres på virksomhedens servere, medmindre andet er særligt aftalt. Virksomhedens data skal i nødvendigt omfang beskyttes, fx med kryptering, hvis de midlertidigt lagres på mobile enheder. Private data må aldrig lagres på virksomhedens servere. Private data må lagres på medarbejderens it-udstyr i det omfang, materialet er lovligt, og det i øvrigt er foreneligt med medarbejderens varetagelse af sit arbejde i virksomheden. 3
Brug af internet Enhver brug af internettet efterlader et elektronisk spor, der via logfilen (se Registrering) kan spores direkte tilbage til den enkelte medarbejder. Besøg på hjemmesider Privat brug af internettet må finde sted i det omfang, det er foreneligt med medarbejderens varetagelse af sit daglige arbejde i virksomheden og i øvrigt ikke strider mod lovgivningen, disse regler og virksomhedens værdier. Det er ikke tilladt at foretage private indkøb, hvor medarbejderens virksomhedse-mail adresse anvendes som kontakt-adresse, da dette kan indikere, at det er virksomheden, som foretager indkøbet. Det skal understreges, at medarbejdere ikke må anvende it-udstyr ejet af virksomheden til bevidst at opsøge anstødelige eller ulovlige hjemmesider, som fx racistiske eller børnepornografiske hjemmesider Download af musik, billeder m.v. Det er ikke tilladt at downloade musik-, videofiler og/eller software. Downloadet materiale må ikke anvendes i strid med ophavsretsloven eller anden lovgivning. Det er ikke tilladt at downloade screensavers. Streaming Det er ikke tilladt at bruge internettet til at se tv eller høre radio inden for almindelig arbejdstid (8.00 16.30) medmindre andet er aftalt med nærmeste overordnede og i øvrigt er relevant i forbindelse med medarbejderens varetagelse af sit arbejde for virksomheden. Brug af chat og sociale netværkstjenester Chat Det er (ikke) tilladt at bruge chat, fx MSN Microsoft Messenger, mirc, ICQ. Sociale netværkstjenester Det er (ikke) tilladt at bruge sociale netværkstjenester, fx Facebook, LinkedIn, etc. i den almindelige arbejdstid 8.00 16.30. Det er et krav, at medarbejdere, der anvender sociale netværkstjenester, omhyggeligt læser og overholder betingelserne for anvendelse. Det er endvidere et krav, at medarbejderne overholder love og bestemmelser, eksempelvis om copyright og bagvaskelse (injurier). Det er tilladt at identificere sig som værende ansat i XX virksomhed, hvis medarbejderen repræsenterer virksomheden loyalt og professionelt, og hvis medarbejderen i forbindelse med enhver tilkendegivelse på personlige blogs eller andetsteds tydeligt angiver, at indholdet er udtryk for vedkommendes personlige holdning og intet har med virksomheden at gøre. Det er ikke tilladt at skrive anbefalinger vedrørende andre personer. 4
Det er ikke tilladt at referere til eller omtale virksomhedens kunder, leverandører eller partnere. Det er ikke tilladt at referere til eller omtale virksomhedens aktiviteter på sociale netværkstjenester. Brug af e-mail Adgangen til at anvende e-mail er etableret til forretningsmæssig brug, Enhver e- mail, sendt via virksomhedens it-systemer, betragtes som skreven korrespondance, der tilhører virksomheden, og som virksomheden derfor kan gøre sig bekendt med og disponere over som anden korrespondance til og fra virksomheden, og ikke som privat ejendom. E-mails er juridisk bindende på samme måde som andre former for korrespondance, og skal derfor behandles med samme omhu (læs mere om netikette). E-mails skal overholde virksomhedens standard for udseende, sprog, tegnsætning, signatur, formatering m.v. Videresendelse Det er ikke tilladt at sætte en regel op, der automatisk videresender medarbejderens e-mail til en privat, ekstern e-mail adresse. Hvis man vil undgå, at en modtager af en e-mail videresender denne, skal afsenderen give modtageren udtrykkeligt besked om dette. Privat brug af e-mail E-mail adresse Medarbejderens virksomheds-e-mail adresse (medarbejder@virksomhed.dk) må kun benyttes på internettet i arbejdsmæssig sammenhæng. Dette betyder. at: alle medarbejdere opfordres til at oprette en postkasse hos en privat serviceudbyder og bruge denne til privat korrespondance en e-mail, der afsendes fra virksomhedens e-mail system, er identisk med et almindeligt brev, sendt i en af virksomhedens kuverter Postkasse Privat brug af e-mail må finde sted i det omfang, det er foreneligt med medarbejderens varetagelse af sit daglige arbejde i virksomheden og i øvrigt ikke strider mod lovgivningen, disse regler og virksomhedens værdier. Private e-mails Privat anvendelse af postsystemet skal udtrykkeligt markeres Privat. 5
E-mails, der er markeret som private eller personlige i emnefeltet, samt mapper, der indeholder ordet privat eller personlig, er omfattet af brevhemmeligheden og vil ikke blive tilgået af virksomheden, medmindre de relevante myndigheder har godkendt eller anmodet om dette. Det er ikke tilladt at sende musik- og videofiler, pornografisk eller racistisk materiale, kædebreve eller e-mails med diskriminerende indhold. Hvad må/kan virksomheden Logning, registrering og overvågning Af hensyn til virksomhedens drifts- og sikkerhedsmæssige forhold og for at sikre, at brugen af virksomhedens it-systemer foregår i overensstemmelse med virksomhedens politikker, bliver alt, hvad der sker på virksomhedens it-systemer løbende registreret, ligesom der bliver taget backup af alt, hvad der ligger på systemerne. De medarbejdere, som har adgang til logfiler og backup, er instrueret i ikke at spore data relateret til enkeltpersoner, selv om det er muligt at gøre dette. Enhver aktivitet til og fra virksomhedens arbejdspladser kan uddrages og fremlægges i forbindelse med misbrug og/eller retssagsbehandling, hvor virksomheden er involveret. Adgang til en medarbejders elektroniske data (e-mail, filer, internet log filer m.v.) på grund af mistanke om misbrug eller efter anmodning fra myndighederne må kun finde sted efter instruks fra vedkommendes chef og med godkendelse fra HR-chefen eller den øverste ledelse. Adgangen er begrænset til, hvad der er nødvendigt i forhold til årsagen, og ophører, når undersøgelsen er afsluttet. Privat materiale, dvs. materiale, som befinder sig i en folder, der hedder Privat / personlig, eller mapper, hvor disse ord indgår i navnet, vil ikke blive omfattet af en eventuel undersøgelse, medmindre der foreligger en dommerkendelse, jf Straffelovens 263, stk. 1 1. Hvis en medarbejder bliver syg eller i øvrigt uplanlagt er fraværende i længere tid, kan it-afdelingen hjælpe med at fremfinde materiale, hvis det er vigtigt og nødvendigt for virksomhedens drift. Sådan fremfinding skal ske efter instruks fra vedkommendes nærmeste chef. Medarbejderen skal orienteres om, at en sådan fremfinding har fundet sted, og fremfindingen skal ske med tilbørlig hensyntagen til medarbejderens privatlivsfred. It-afdelingen kan også aktivere ikke til stedeassistenten. Begrænsning i adgang til at se visse hjemmesider Der er i virksomheden installeret et system, der begrænser adgangen til internettet, således at det ikke i den almindelige arbejdstid (8-16) er muligt at tilgå hjemmesider, som ikke er arbejdsmæssigt relevante, fx hjemmesider med spil, sociale netværk, auktioner, sport, køb og salg af boliger, jobsøgning, dating, 1 Boligen er ukrænkelig. Husundersøgelse, beslaglæggelse og undersøgelse af breve og andre papirer samt brud på post-, telegraf- og telefonhemmeligheden må, hvor ingen lov hjemler en særegen undtagelse, alene ske efter en retskendelse. 6
porno m.v. Herudover har systemet lukket for sider, som er ulovlige, fx børneporno, racisme, m.v. 7